Filtración de datos de McKesson en 2026

Su investigación situó la actividad entre el 20 y el 25 de agosto y confirmó el acceso no autorizado a aplicaciones de terceros y la exfiltración de datos desde ellas. En un documento presentado ante la SEC el 28 de agosto, McKesson indicó que la investigación se encontraba en una fase inicial y que no había determinado que el incidente fuera significativo ni que fuera razonablemente probable que afectara de manera significativa a la empresa.

En su actualización para clientes del 29 de agosto, McKesson vinculó el acceso a un subconjunto de clientes de sus unidades de negocio Oncology & Multispecialty y Medical-Surgical. La gestión de pedidos, los centros de distribución, los envíos de productos, los sistemas y los servicios siguieron funcionando. La empresa también indicó que tenía garantías razonables de que ya no quedaba actividad no autorizada en sus sistemas.

Un aviso sustitutivo del 8 de septiembre explicó que McKesson puede disponer de información personal y de salud protegida a través de los proveedores de atención médica a los que abastece, por lo que una persona podría estar afectada aunque no tenga una cuenta directa con McKesson. Los datos que podrían estar involucrados varían según la persona y pueden incluir datos de identidad y de contacto, identificadores de pacientes, fechas de nacimiento, información de seguros, historias clínicas y detalles de la atención recibida, información de facturación y reclamaciones, datos de cuentas, tarjetas o datos bancarios, y números del Seguro Social. Los registros pueden corresponder a pacientes, garantes u otras personas. No se reveló el número total de personas afectadas ni de registros únicos.

McKesson indicó que activó sus procedimientos de respuesta a incidentes, recurrió a expertos externos en ciberseguridad, notificó a las autoridades policiales, contuvo el incidente e incorporó medidas de protección. La revisión de los datos sigue en curso; una vez finalizada, la empresa prevé coordinar las notificaciones individuales con los proveedores de atención médica que son sus clientes. El aviso sustitutivo ofrece dos años de supervisión crediticia y protección contra el robo de identidad, sin costo, a las personas que crean que podrían haberse visto afectadas.